Mot de sécurité en famille : se protéger des arnaques par IA

Fiche complémentaire de la leçon « Se défendre des tromperies par IA : canal séparé et mot de code familial » — cours Vie privée en ligne

Une voix familière ne prouve plus qui parle. La réponse n’est pas de douter de ses proches, mais de convenir à l’avance de deux petites habitudes : un mot de sécurité en famille qui ne circule pas en ligne, et une liste de numéros fiables que l’on connaissait déjà. Cette fiche vous guide pour préparer les deux, à la maison et au travail.

A. Pourquoi c’est important

La fiche précédente a expliqué comment une voix peut être copiée (le clonage de voix) et pourquoi les signes d’un faux ne sont pas fiables. Celle-ci traite de ce qui fonctionne à la place : quand on ne peut pas être sûr de ce que l’on entend, on s’appuie sur ce que l’on sait déjà : un numéro enregistré depuis longtemps, un mot convenu autour de la table de la cuisine.

Ces deux habitudes reposent sur une idée de vie privée. Une personne qui prépare un appel convaincant s’appuie sur ce que l’on trouve à votre sujet : votre voix dans une vidéo, les prénoms de vos proches, qui valide les paiements dans votre activité. Un mot de sécurité en famille fonctionne parce que c’est une information que vous avez volontairement gardée hors de votre empreinte numérique. Rappeler fonctionne parce que le numéro vient de vos propres notes, pas du message.

Aucune des deux ne naît de la peur. Elles donnent à vos proches et à vos collègues une façon calme et convenue de vérifier, sans gêne.

Ce que disent les sources

Le guide des trois autorités européennes de supervision financière (ABE, AEAPP et AEMF), publié en français et mis en ligne par l’Autorité de contrôle prudentiel et de résolution (ACPR, Banque de France), conseille de convenir avec sa famille d’un « mot de sécurité ». Il s’agit d’une phrase secrète qui permet de confirmer l’identité d’une personne à la voix familière qui demande de l’argent en urgence. Le guide ajoute la seconde habitude : au moindre doute, « mettez fin à l’appel et vérifiez soigneusement la source ».

Sur le clonage de voix, Ma Sécurité, le site du ministère de l’Intérieur, explique que des escrocs récupèrent des enregistrements de voix en ligne pour imiter un proche. La page conseille de vérifier par un autre moyen et d’appeler directement la personne ou l’entreprise sur un numéro officiel. Elle invite aussi à se méfier d’une demande d’argent immédiate.

Cybermalveillance.gouv.fr décrit, depuis fin 2022, des vagues de messages où des escrocs se font passer pour un enfant dont le téléphone serait cassé, et qui demandent de passer par un nouveau numéro sur WhatsApp. Le dispositif recommande d’appeler directement l’enfant, ou de passer par un proche susceptible d’être avec lui, et de ne pas envoyer d’argent avant d’avoir formellement identifié son interlocuteur.

La CNIL, à propos des hypertrucages (deepfakes en anglais : des contenus audio, photo ou vidéo créés ou modifiés grâce à l’intelligence artificielle), conseille de limiter la diffusion publique de ses images et de celles de ses proches, surtout sur les réseaux sociaux. Elle évoque l’imitation d’une voix dans un message audio.

Au travail, la logique est la même. Pour le faux ordre de virement, Cybermalveillance.gouv.fr décrit un message présenté comme « urgent et confidentiel » et une validation hiérarchique interne qu’il faut rendre « non dérogeable ». Pour un changement de RIB annoncé par message, la page dédiée conseille d’appeler « votre créancier sur son numéro habituel ». Ces pages ne parlent pas d’IA : elles décrivent le mécanisme, dont ce cours tire une règle pour les appels.

B. Notions clés

Quatre idées sur lesquelles reposent les deux habitudes.

Canal séparé

Vérifier une demande par un chemin différent de celui par lequel elle est arrivée. Un message vocal vous réclame de l’argent : vous n’y répondez pas, vous appelez le numéro habituel de la personne. Un courriel vous demande de changer le RIB d’un fournisseur : vous téléphonez au fournisseur.

Pourquoi c’est important pour vous : Qui contrôle le premier canal peut y poursuivre son rôle. Un chemin que vous avez choisi est beaucoup plus difficile à contrôler.

Un numéro que l’on connaissait déjà

Une coordonnée qui vous est parvenue avant la demande : enregistrée dans le téléphone depuis des mois, imprimée au dos de la carte bancaire, sur une ancienne facture ou sur le site officiel de l’organisme.

Pourquoi c’est important pour vous : Rappeler le numéro qui vient de vous appeler, ou celui du courriel, peut vous ramener droit vers l’auteur de l’arnaque.

Mot de sécurité en famille

Un mot ou une courte phrase convenus de vive voix par un petit groupe, comme votre famille proche, et utilisés seulement pour confirmer l’identité en cas d’urgence. Les sources parlent de « mot de sécurité » ; la leçon du cours dit « mot de code » : c’est la même chose. En anglais, on parle de safe word.

Pourquoi c’est important pour vous : C’est une information sur votre famille que ni une publication, ni un profil, ni un enregistrement ne peuvent révéler, puisque vous ne l’y avez pas mise. Une voix clonée peut sonner juste, mais un mot resté hors ligne est bien plus difficile à découvrir.

L’urgence et le secret comme signal

Les arnaques faites avec l’IA reprennent la pression habituelle : agissez tout de suite, n’en parlez à personne, payez d’une façon difficile à annuler. Le guide européen relève que les escrocs créent délibérément un sentiment d’urgence et cite comme signal d’alerte les paiements par des moyens non traçables, comme les crypto-actifs, les cartes-cadeaux ou les cartes prépayées.

Pourquoi c’est important pour vous : Vous n’avez pas à repérer le faux : il suffit de remarquer la pression, car c’est le moment d’appliquer les habitudes. Un interlocuteur sincère peut le plus souvent attendre deux minutes.

C. Un exemple concret : le jeudi de Jean

Jean a 50 ans et dirige une petite entreprise à Lille. C’est lui qui valide les paiements, et le site de l’entreprise le dit, avec sa photo et sa ligne directe.

Jeudi après-midi, un appel arrive d’un numéro qu’il ne connaît pas. La voix est celle de la responsable commerciale d’un fournisseur avec lequel il travaille depuis des années. Leur banque a changé, explique-t-elle : la facture du mois peut-elle être réglée aujourd’hui sur le nouveau compte ?

Le soir, un message vocal arrive, en apparence de sa sœur. Son téléphone est cassé, elle utilise celui d’une amie et a besoin d’argent pour une urgence. Elle lui demande de ne rien dire à leur mère.

Les deux demandes semblaient authentiques, et chacune venait avec une raison de se dépêcher.

Ce qui a changé

• Jean a dit à son interlocutrice qu’il la rappellerait, puis il a raccroché. Il a pris le numéro du fournisseur sur une facture de ses archives et a demandé la responsable commerciale. Ce n’était pas elle qui avait appelé, et la banque n’avait pas changé.
• Il n’a pas répondu au message vocal : il a appelé le numéro habituel de sa sœur. Elle a répondu depuis son canapé, son téléphone fonctionnait très bien.
• Au déjeuner du dimanche, Jean, sa sœur et leur mère ont choisi ensemble un mot de sécurité, dit à voix haute, sans l’écrire dans un message.
• Le lundi, il a expliqué à son équipe que tout changement de coordonnées bancaires d’un fournisseur serait confirmé par téléphone, sur un numéro tiré de leurs propres archives, et validé par une deuxième personne. Vérifier une demande venant de lui n’était pas impoli : c’était la règle.

Rien de tout cela n’a demandé de compétence technique, seulement des chemins qui existaient déjà.

D. À vous de jouer : préparer un mot de sécurité et une liste de numéros fiables (20 minutes)

Quatre étapes. Les étapes 1 et 2 se font de votre côté ; les étapes 3 et 4 peuvent attendre le moment où vous retrouvez les personnes avec lesquelles vous partagerez le mot. Les sources recommandent de convenir d’un mot ; les conseils pour le choisir sont des orientations proposées par ce cours.

Étape 1 — Écrivez votre liste de numéros fiables (6 minutes)

• Listez qui pourrait vous demander en urgence de l’argent ou des informations : proches, banque, employeur, principaux fournisseurs.
• À côté de chacun, notez un numéro que vous connaissiez déjà : enregistré depuis longtemps, imprimé au dos de la carte bancaire, relevé sur une ancienne facture ou sur le site officiel. Ne recopiez pas un numéro reçu dans un message récent.
• Gardez une copie sur papier à la maison, au cas où le téléphone serait perdu.

Étape 2 — Choisissez le mot (4 minutes)

• Cherchez un mot facile à retenir sous le stress et difficile à deviner à partir de ce qui se trouve en ligne à votre sujet : pas le nom d’un animal, une date de naissance, une rue, ni rien de ce que vous avez publié.
• Une piste : associer deux ou trois mots sans lien, par exemple un objet, une couleur et un lieu. Une autre : une question dont la réponse n’a pas été publiée.
• Prévoyez un mot différent par groupe (proches, amis, travail) : si l’un fuit, il n’ouvre pas toutes les portes.

Étape 3 — Partagez-le hors connexion (5 minutes)

• Dites-le de vive voix, ou lors d’un appel que vous avez lancé vous-même vers un numéro de votre liste.
• Ne l’envoyez pas par SMS, courriel ou messagerie, et ne le rangez pas dans des notes partagées. Si vous l’écrivez, utilisez un papier qui reste à la maison.
• Si vous pensez que quelqu’un a pu l’entendre, choisissez-en simplement un autre.

Étape 4 — Convenez de la règle et essayez-la une fois (5 minutes)

Dites la règle à voix haute, ensemble :

1. Devant une demande urgente d’argent, de codes ou de données personnelles par appel, message vocal ou visioconférence, demandez le mot de sécurité.
2. La personne qui reçoit l’appel inattendu demande le mot, et celle qui appelle le donne. On ne le prononce pas en premier, on ne le partage pas par écrit en ligne, et on ne le donne pas à qui vous contacte à l’improviste pour le réclamer.
3. Si le mot est faux, ou si l’appelant esquive la question : raccrochez et rappelez sur un numéro de votre liste.
4. Vérifier n’est pas une offense.

Puis entraînez-vous une fois : l’un appelle l’autre avec une fausse demande urgente, et l’autre demande le mot. Refaire l’essai de temps en temps aide à ne pas l’oublier.

Le cours « Défense hors ligne » approfondit l’aspect physique de ces habitudes, comme confirmer l’identité de quelqu’un lorsqu’on l’a en face de soi.

E. Vidéos, articles et autres ressources

Les arnaques à la voix et aux messages, puis la fraude en entreprise et l’aide aux victimes.

Voix clonée, faux proches et hypertrucages

ABE, AEAPP et AEMF (publié par l’ACPR) — Fraudes et arnaques financières en ligne à l’ère de l’intelligence artificielle
Guide des autorités européennes en français : voix clonée, « mot de sécurité » en famille, fin d’appel et vérification de la source (2025).
https://acpr.banque-france.fr/system/files/2026-01/FRAUDES%20ET%20ARNAQUES%20FINANCI%C3%88RES%20%C3%A0%20l%27%C3%A8re%20de%20l%27IA_0.pdf

Ma Sécurité (ministère de l’Intérieur) — Les arnaques utilisant l’intelligence artificielle (IA)
Imitation de la voix d’un proche, vérification par un autre moyen et un numéro officiel, méfiance devant une demande d’argent immédiate (mise à jour du 11 février 2026).
https://www.masecurite.interieur.gouv.fr/fr/fiches-pratiques/numerique/arnaques-utilisant-intelligence-artificielle-ia

Cybermalveillance.gouv.fr — Escroquerie à l’enfant qui a un problème avec son téléphone « Coucou maman/papa… »
Messages d’un faux enfant au téléphone cassé : appeler sur le numéro habituel, ne pas envoyer d’argent avant d’avoir identifié son interlocuteur, que faire en cas de paiement (mise à jour du 15 septembre 2026).
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/escroquerie-enfant-probleme-telephone-coucou-papa-maman

CNIL — Hypertrucage (deepfake) : comment se protéger et signaler les contenus illicites ?
Définition d’un hypertrucage, limiter la diffusion publique de ses images, signalement aux plateformes et à Pharos, plainte à la CNIL (3 février 2026).
https://cnil.fr/fr/hypertrucage-deepfake

Fraude en entreprise et aide aux victimes

Cybermalveillance.gouv.fr — La fraude au virement bancaire (FOVI) ou au faux ordre de virement
Comment fonctionne l’arnaque au président et au changement de RIB, validation hiérarchique interne, que faire en cas de virement frauduleux.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/escroquerie-faux-ordres-virement-fovi

Cybermalveillance.gouv.fr — Que faire en cas de fraude au virement ou au « faux RIB » ?
Appeler le créancier sur son numéro habituel avant de payer sur un nouveau RIB, alerter la banque, conserver les preuves, déposer plainte.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/que-faire-en-cas-de-fraude-au-virement-ou-au-faux-rib

Cybermalveillance.gouv.fr, Police nationale et Gendarmerie nationale — 17Cyber, mon assistance en ligne
Service public gratuit de diagnostic et d’orientation pour les victimes de cybermalveillance, avec un échange par tchat avec un gendarme ou un policier selon la situation.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/page/17cyber-mon-assistance-en-ligne

Liens vérifiés en octobre 2026. Si une adresse change, chercher le titre sur le site de l’organisme aide souvent à la retrouver.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette fiche s’appuie sur le pilier Comportements sûrs, au niveau FL2 — Initié : deux habitudes convenues à l’avance et appliquées sans hésiter.

Compétences

• Construire une liste de numéros fiables à partir de coordonnées que l’on connaissait déjà.
• Choisir un mot de sécurité difficile à deviner et qui n’a pas été publié.
• Vérifier une demande par un canal séparé, à la maison comme au travail.

Conscience du risque

• Reconnaître qu’une voix ou un visage familiers ne suffisent plus, à eux seuls, à prouver une identité.
• Comprendre que les arnaques se construisent avec des informations que l’on peut trouver, et que le mot de sécurité fonctionne parce qu’il reste en dehors.
• Voir dans l’urgence et le secret le moment de vérifier, et non une raison de se dépêcher.

Comportements sûrs

• Raccrocher et rappeler sur un numéro tiré de ses propres notes.
• Demander le mot de sécurité quand un appel surprend, ne pas le prononcer en premier et ne pas le donner à qui vous contacte à l’improviste.
• Confirmer par téléphone tout changement de coordonnées bancaires, avec la validation d’une deuxième personne.

G. Questions pour réfléchir

• Si une voix aimée vous demandait de l’argent ce soir, quel numéro appelleriez-vous, et d’où vient-il ?
• Que pourrait apprendre quelqu’un sur votre famille, ou sur votre activité, à partir de ce qui est déjà public ?
• Avec qui aimeriez-vous convenir en premier d’un mot de sécurité, et quand reverrez-vous cette personne ?

H. Que faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base de données Cyber Welfare qui s’appliquent le plus directement ici.

1. Vérifier avant d’agir

• R16 — Méfiez-vous des e-mails qui se font passer pour la banque : on entre chez sa banque par la porte que l’on connaît : traitez-les comme une raison de vérifier, pas d’agir, en passant par l’application officielle, un favori déjà enregistré ou une adresse saisie par vos soins. La page évoque aussi l’appel d’un faux conseiller qui peut suivre le message : pour parler à quelqu’un, utilisez un numéro que vous connaissez déjà, au dos de la carte, sur le site officiel ou sur le contrat, et non celui du message.

Au travail, Cybermalveillance.gouv.fr recommande une validation hiérarchique interne pour les virements et, devant un nouveau RIB, un appel au créancier sur son numéro habituel. Vous pouvez en faire une règle interne, expliquée à l’équipe avant d’en avoir besoin.

Engagement minimal : écrivez aujourd’hui votre liste de numéros fiables, avec au moins un proche et votre banque, et gardez-en une copie sur papier.

2. Quand c’est votre nom qui est utilisé

• R29 — Messages envoyés en votre nom : que faire quand un contact vous alerte : vérifiez les sessions et les appareils connectés de votre compte, fermez les accès que vous ne reconnaissez pas et dites à vos contacts quoi ignorer.

Engagement minimal : convenez cette semaine, en personne, d’un mot de sécurité en famille avec au moins une personne.

Si de l’argent ou des coordonnées bancaires sont en jeu, contactez tout de suite votre banque par ses canaux officiels : selon Cybermalveillance.gouv.fr, elle peut tenter de suspendre le virement ou de demander le retour des fonds. Conservez les preuves (messages, numéros, factures) et déposez plainte auprès de la police ou de la gendarmerie ; Ma Sécurité renvoie aussi vers une plainte en ligne (THESEE) pour les arnaques sur internet. Pour obtenir une écoute et des conseils, Cybermalveillance.gouv.fr indique France Victimes (116 006, gratuit) et Info Escroqueries (0 805 805 817). Le service 17Cyber (17cyber.gouv.fr) propose, lui, un diagnostic en ligne gratuit et, selon la situation, un échange par tchat avec un gendarme ou un policier.

En bref

• Une voix familière ne prouve plus qui parle. Ne la jugez pas : vérifiez la demande.
• Passez par un canal séparé : raccrochez et rappelez sur un numéro que vous connaissiez déjà, pas sur celui du message.
• Un mot de sécurité en famille fonctionne parce qu’il reste hors ligne. Choisissez-le ensemble, partagez-le de vive voix, demandez-le quand une demande est urgente et ne le prononcez pas en premier.
• Au travail, confirmez tout changement de coordonnées bancaires sur un numéro connu, avec une deuxième personne qui valide.

Ressources associées dans ce cours

• Arnaque au clonage de voix : comment les deepfakes vous imitent
• Hameçonnage ciblé : pourquoi un faux message vous connaît si bien
• Appels indésirables : où va votre numéro et comment les réduire
• Que ne pas publier sur les réseaux sociaux ? Relisez vos posts

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.